Raspberry Pi 4 (8 GB) als Proxmox VE Test-Node

Installation von Debian 13 (Trixie) ARM64 auf einem Raspberry Pi 4 mit 8 GB RAM. Das Root-Dateisystem wird mit LUKS2 verschlüsselt und beim Booten über Dropbear-SSH entsperrt.

Die Einrichtung erfolgt von einem Linux-PC mit debootstrap und einer ARM64-chroot-Umgebung. Das System erhält eine feste IP-Adresse, automatische Zeitsynchronisierung und eine deutsche UTF-8-Locale.

1. Voraussetzungen

• Raspberry Pi 4 mit 8 GB RAM
• USB-SSD mit mindestens 64 GB
• Debian-13-Linux-PC
• Ethernet-Verbindung
• USB-Boot-fähige Raspberry-Pi-Firmware
• SSH-Schlüssel für Administration und LUKS-Entsperrung

Netzwerkkonfiguration

Hostname	darkside
IP-Adresse	10.100.0.61
Netzmaske	255.255.0.0 (/16)
Gateway	10.100.0.1
DNS	1.1.1.1
Interface	eth0
Zeitzone	Europe/Berlin
Locale	de_DE.UTF-8

2. Datenträger vorbereiten

Die SSD besteht aus einer unverschlüsselten Boot-Partition und einer mit LUKS2 verschlüsselten Root-Partition.

Partition	Format	Verwendung
Partition 1	FAT32	/boot/firmware
Partition 2	LUKS2	Verschlüsseltes Root-Dateisystem
cryptroot	ext4	Debian und virtuelle Maschinen

Alle folgenden administrativen Befehle werden als root ausgeführt.

Benötigte Pakete auf dem Linux-PC installieren:

apt update
apt install -y \
debootstrap \
debian-archive-keyring \
qemu-user \
qemu-user-binfmt \
binfmt-support \
cryptsetup \
parted \
dosfstools \
e2fsprogs \
ca-certificates

Datenträger identifizieren:

lsblk -o NAME,SIZE,MODEL,TYPE,MOUNTPOINTS

Im folgenden Beispiel wird /dev/sdb als Zielgerät verwendet. Die Gerätebezeichnung unbedingt prüfen. Alle Partitionen der SSD müssen ausgehängt sein.

Achtung: Die folgenden Befehle löschen sämtliche Daten auf dem ausgewählten Datenträger. Bei einem bereits installierten System diesen Abschnitt überspringen.

DISK=/dev/sdb

parted -s "$DISK" mklabel msdos
parted -s "$DISK" mkpart primary fat32 1MiB 1025MiB
parted -s "$DISK" mkpart primary 1025MiB 100%
parted -s "$DISK" set 1 boot on

partprobe "$DISK"
udevadm settle

Partitionen festlegen:

BOOT=/dev/sdb1
ROOT=/dev/sdb2

3. LUKS2-Verschlüsselung

Boot-Partition formatieren:

mkfs.vfat -F32 -n PVEBOOT "$BOOT"

Root-Partition mit AES-256-XTS und Argon2id verschlüsseln:

cryptsetup luksFormat \
--type luks2 \
--cipher aes-xts-plain64 \
--key-size 512 \
--pbkdf argon2id \
--pbkdf-memory 524288 \
--pbkdf-parallel 2 \
--iter-time 2000 \
--verify-passphrase \
"$ROOT"

Eine lange, zufällig erzeugte Passphrase verwenden. Die tatsächlichen Argon2-Parameter werden auf dem einrichtenden Rechner kalibriert und müssen später auf dem Raspberry Pi getestet werden.

LUKS-Partition öffnen:

cryptsetup open "$ROOT" cryptroot

Dateisystem erstellen:

mkfs.ext4 -L pve-root /dev/mapper/cryptroot

UUIDs ermitteln und notieren:

cryptsetup luksUUID "$ROOT"
blkid -s UUID -o value "$BOOT"

4. Debian installieren

Dateisysteme einhängen:

mkdir -p /mnt/Temp/1

mount /dev/mapper/cryptroot /mnt/Temp/1

mkdir -p /mnt/Temp/1/boot/firmware

mount "$BOOT" /mnt/Temp/1/boot/firmware

Debian 13 installieren:

debootstrap \
--arch=arm64 \
--keyring=/usr/share/keyrings/debian-archive-keyring.gpg \
trixie \
/mnt/Temp/1 \
https://deb.debian.org/debian

Crypttab konfigurieren

nano /mnt/Temp/1/etc/crypttab

Eintrag:

cryptroot UUID=LUKS-UUID none luks,initramfs

LUKS-UUID durch die zuvor ermittelte UUID ersetzen.

Fstab konfigurieren

nano /mnt/Temp/1/etc/fstab

Inhalt:

/dev/mapper/cryptroot / ext4 defaults,noatime 0 1
UUID=BOOT-UUID /boot/firmware vfat defaults,umask=0077 0 2

BOOT-UUID durch die UUID der FAT32-Partition ersetzen.

5. ARM64-chroot betreten

Systemdateisysteme einbinden:

for DIR in dev proc sys run; do
    mount --rbind "/$DIR" "/mnt/Temp/1/$DIR"
    mount --make-rslave "/mnt/Temp/1/$DIR"
done

DNS-Konfiguration für die Installation:

cp -L /etc/resolv.conf /mnt/Temp/1/etc/resolv.conf

ARM64-chroot betreten:

chroot /mnt/Temp/1 /bin/bash

Architektur prüfen:

dpkg --print-architecture

Die Ausgabe muss arm64 sein. Die folgenden Befehle werden innerhalb der chroot-Umgebung ausgeführt.

6. Debian-Basissystem

APT-Paketquellen prüfen:

nano /etc/apt/sources.list

Die folgenden Debian-Quellen verwenden. Gleichwertige vorhandene Einträge unter /etc/apt/sources.list.d nicht duplizieren.

deb https://deb.debian.org/debian trixie main non-free-firmware
deb https://deb.debian.org/debian trixie-updates main non-free-firmware
deb https://security.debian.org/debian-security trixie-security main non-free-firmware

Pakete installieren:

apt update

apt install -y \
linux-image-arm64 \
raspi-firmware \
initramfs-tools \
cryptsetup-initramfs \
dropbear-initramfs \
openssh-server \
ifupdown2 \
systemd-sysv \
systemd-timesyncd \
locales \
tzdata \
ca-certificates \
curl \
git \
nano \
less \
busybox

7. Locale konfigurieren

Das System erhält die deutsche UTF-8-Locale. Die Locale muss erzeugt werden, bevor sie von Shell, SSH und Programmen verwendet werden kann.

Locale-Konfiguration öffnen:

nano /etc/locale.gen

Folgende Zeile aktivieren:

de_DE.UTF-8 UTF-8

Falls ein Kommentarzeichen vor der Zeile steht, dieses entfernen.

Locale erzeugen:

locale-gen

Systemsprüngliche Locale setzen:

update-locale LANG=de_DE.UTF-8

Verfügbare Locales prüfen:

locale -a

Erwartete Ausgabe enthält:

de_DE.utf8

LC_ALL wird nicht dauerhaft gesetzt. Programme erhalten die gewünschten Kategorieeinstellungen über LANG oder spezifische LC_-Variablen.

Zeitzone einstellen

Zeitzone konfigurieren:

ln -sfn /usr/share/zoneinfo/Europe/Berlin /etc/localtime

echo Europe/Berlin > /etc/timezone

Zeitzone prüfen:

date

In einer chroot-Umgebung stammt die aktuelle Uhrzeit vom Linux-Host. Die eigentliche Netzwerkzeitsynchronisierung erfolgt später auf dem Raspberry Pi.

8. NTP-Zeitsynchronisierung konfigurieren

Der Raspberry Pi besitzt normalerweise keine batteriegepufferte Echtzeituhr. Nach einem Neustart kann die Systemzeit deshalb falsch sein.

Eine falsche Uhrzeit kann HTTPS-Verbindungen und die Zertifikatsüberprüfung von APT verhindern.

Als Zeitdienst wird systemd-timesyncd verwendet.

Konfigurationsverzeichnis erstellen:

mkdir -p /etc/systemd/timesyncd.conf.d

Konfiguration bearbeiten:

nano /etc/systemd/timesyncd.conf.d/10-ntp.conf

Folgenden Inhalt eintragen:

[Time]
NTP=162.159.200.1 162.159.200.123 time.cloudflare.com 0.de.pool.ntp.org 1.de.pool.ntp.org
PollIntervalMinSec=32
PollIntervalMaxSec=2048
SaveIntervalSec=60

Die ersten beiden Adressen sind NTP-Server von Cloudflare. Sie sind auch ohne DNS-Auflösung erreichbar.

Für NTP muss ausgehender UDP-Verkehr auf Port 123 erlaubt sein.

Zeitdienst für den Systemstart aktivieren:

systemctl enable systemd-timesyncd.service

systemd-timesyncd wird beim regulären Systemstart aktiviert. Innerhalb von chroot wird kein laufender Zeitdienst benötigt.

Der Dienst speichert regelmäßig einen Zeitstempel, damit die Systemzeit bei späteren Neustarts nicht immer auf einen sehr alten Wert zurückfällt.

9. Netzwerk dauerhaft konfigurieren

Die Netzwerkverbindung im Initramfs ist unabhängig von der normalen Debian- Netzwerkkonfiguration.

Deshalb muss eth0 auch im installierten Debian-System eingerichtet werden.

Netzwerkdatei öffnen:

nano /etc/network/interfaces

Folgende Konfiguration verwenden:

# Loopback
auto lo
iface lo inet loopback

# Ethernet
auto eth0
iface eth0 inet static
    address 10.100.0.61/16
    gateway 10.100.0.1

# Weitere Interfaces
source /etc/network/interfaces.d/*

Die Management-IP liegt zunächst direkt auf eth0. Eine Linux-Bridge für virtuelle Maschinen wird erst nach erfolgreicher Einrichtung des Basissystems konfiguriert.

Die gleiche Management-IP darf später nicht gleichzeitig auf eth0 und vmbr0 liegen.

Netzwerkdienst aktivieren:

systemctl enable networking.service

DNS konfigurieren

DNS-Konfiguration öffnen:

nano /etc/resolv.conf

Inhalt:

nameserver 1.1.1.1

Diese Konfiguration setzt voraus, dass /etc/resolv.conf als reguläre Datei verwaltet wird und kein anderer Netzwerkdienst ihren Inhalt automatisch ersetzt.

Für die Namensauflösung muss DNS über UDP beziehungsweise TCP Port 53 erreichbar sein.

10. Hostname konfigurieren

Hostname bearbeiten:

nano /etc/hostname

Inhalt:

darkside

Hosts-Datei bearbeiten:

nano /etc/hosts

Folgende Einträge verwenden:

127.0.0.1 localhost
::1 localhost ip6-localhost ip6-loopback

10.100.0.61 darkside.home.arpa darkside

Der Hostname muss auf die tatsächliche Management-IP des Servers auflösbar sein.

11. SSH-Zugang einrichten

Root-Passwort setzen:

passwd

Für den SSH-Zugang wird ein eigener Ed25519-Administrationsschlüssel verwendet.

Den öffentlichen Schlüssel auf dem administrierenden Linux-Client erzeugen:

ssh-keygen -t ed25519 -a 100 \
-f ~/.ssh/id_pi4_admin \
-C "Pi4 Administration"

Den privaten Schlüssel ausschließlich auf dem Linux-Client speichern.

Auf dem Raspberry-Pi-Dateisystem:

install -d -m 0700 /root/.ssh

nano /root/.ssh/authorized_keys

Den vollständigen öffentlichen Schlüssel aus id_pi4_admin.pub eintragen.

Dateirechte setzen:

chmod 0600 /root/.ssh/authorized_keys

SSH-Konfiguration erstellen:

nano /etc/ssh/sshd_config.d/10-security.conf

Inhalt:

PermitRootLogin prohibit-password
PasswordAuthentication no
KbdInteractiveAuthentication no
PubkeyAuthentication yes
PermitEmptyPasswords no
X11Forwarding no
MaxAuthTries 3

SSH-Hostkeys erzeugen, falls sie fehlen:

ssh-keygen -A

SSH-Konfiguration prüfen:

sshd -t

SSH-Dienst aktivieren:

systemctl enable ssh.service

12. Initramfs-Netzwerk

Für die LUKS-Entsperrung wird eth0 bereits innerhalb des Initramfs aktiviert.

Datei öffnen:

nano /etc/initramfs-tools/initramfs.conf

Folgende Werte setzen:

MODULES=most
DEVICE=eth0

Die statische IP-Adresse wird über einen Kernelparameter konfiguriert.

Datei öffnen:

nano /etc/default/raspi-extra-cmdline

Folgende Zeile eintragen:

ip=10.100.0.61::10.100.0.1:255.255.0.0:darkside:eth0:none

Die Zeile darf keine zusätzlichen Zeilenumbrüche enthalten.

13. Raspberry-Pi-Firmware

Firmware-Konfiguration öffnen:

nano /etc/default/raspi-firmware

Folgende Werte setzen:

ROOTPART="/dev/mapper/cryptroot"
KERNEL="auto"
INITRAMFS="auto"

Die bestehende Konfiguration des Firmwarepakets ansonsten beibehalten.

Auf einem Raspberry Pi 4 mit USB-SSD können zusätzliche USB-Treiber im Initramfs benötigt werden, insbesondere reset_raspberrypi.

Datei öffnen:

nano /etc/initramfs-tools/modules

Das benötigte Modul ergänzen, sofern es beim installierten Kernel als Modul vorliegt:

reset_raspberrypi

14. Dropbear für LUKS konfigurieren

Ein separater SSH-Schlüssel wird für die Entsperrung der LUKS-Partition verwendet.

Schlüssel auf dem Linux-Client erzeugen:

ssh-keygen -t ed25519 -a 100 \
-f ~/.ssh/id_pi4_unlock \
-C "Pi4 LUKS Unlock"

Dropbear-Verzeichnis erstellen:

install -d -m 0700 /etc/dropbear/initramfs

Authorized-Keys-Datei öffnen:

nano /etc/dropbear/initramfs/authorized_keys

Den öffentlichen Entsperrschlüssel mit folgenden Optionen eintragen:

no-port-forwarding,no-agent-forwarding,no-X11-forwarding,command="/bin/cryptroot-unlock" ssh-ed25519 SSH-PUBLIC-KEY

SSH-PUBLIC-KEY durch den vollständigen öffentlichen Ed25519-Schlüssel ersetzen.

Dateirechte setzen:

chmod 0600 /etc/dropbear/initramfs/authorized_keys

Dropbear konfigurieren:

nano /etc/dropbear/initramfs/dropbear.conf

Inhalt:

DROPBEAR_OPTIONS="-p 2222 -s -j -k -I 120"

Dropbear akzeptiert damit nur Schlüsselauthentifizierung auf Port 2222.

Die Hostkeys von Dropbear müssen vor dem ersten Verbindungsaufbau sicher dokumentiert und auf dem SSH-Client verifiziert werden.

15. Initramfs erstellen

Installierte Kernel-Version ermitteln:

ls /lib/modules

Die gewünschte Kernel-Version auswählen und das passende Initramfs erstellen.

Beispiel:

KVER=$(ls /lib/modules | sort -V | tail -n 1)

if [ -f "/boot/initrd.img-$KVER" ]; then
    update-initramfs -u -k "$KVER"
else
    update-initramfs -c -k "$KVER"
fi

Boot-Konfiguration prüfen:

cat /boot/firmware/config.txt
cat /boot/firmware/cmdline.txt

cmdline.txt muss auf /dev/mapper/cryptroot verweisen und den statischen ip-Parameter enthalten.

Initramfs-Inhalt überprüfen:

lsinitramfs "/boot/initrd.img-$KVER" | less

Besonders die Cryptsetup-Komponenten, Dropbear, authorized_keys, cryptroot-unlock, USB- und Ethernet-Treiber kontrollieren.

16. Installation abschließen

chroot verlassen:

exit

Dateisysteme kontrollieren:

findmnt -R /mnt/Temp/1

Alle Ziel-Mountpoints aushängen:

umount -R /mnt/Temp/1

LUKS schließen:

cryptsetup close cryptroot

Schreibvorgänge abschließen:

sync

Die USB-SSD ist jetzt für den ersten Boot vorbereitet.

17. LUKS über SSH entsperren

Nach dem Start sollte Dropbear im Initramfs auf Port 2222 erreichbar sein.

SSH-Verbindung herstellen:

ssh -t \
-p 2222 \
-i ~/.ssh/id_pi4_unlock \
root@10.100.0.61

Den SSH-Hostkey mit dem zuvor dokumentierten Fingerprint vergleichen.

Anschließend die LUKS-Passphrase eingeben.

Nach erfolgreicher Entsperrung startet das normale Debian-System.

Reguläre SSH-Verbindung:

ssh -i ~/.ssh/id_pi4_admin root@10.100.0.61

18. Ersten Systemstart überprüfen

Netzwerk kontrollieren:

ip -br address
ip route show default

Erwartete Netzwerkkonfiguration:

eth0  UP  10.100.0.61/16

Namensauflösung prüfen:

getent ahostsv4 deb.debian.org

Zeitsynchronisierung kontrollieren

Systemzeit anzeigen:

date
timedatectl status

Zeitdienst aktivieren:

systemctl enable --now systemd-timesyncd

Synchronisierungsstatus anzeigen:

timedatectl timesync-status
timedatectl show -p NTPSynchronized

Erwarteter Status nach erfolgreicher Synchronisierung:

NTPSynchronized=yes

Erst nach erfolgreicher Zeitsynchronisierung Paketdownloads und größere Systemupdates durchführen.

19. Fehlerbehebung: HTTPS-Zertifikate

Folgende Fehlermeldung kann auftreten, wenn die Systemzeit falsch ist:

SSL connection failed:
certificate verify failed

Aktuelle Zeit überprüfen:

date -u

NTP-Dienst kontrollieren:

systemctl status systemd-timesyncd --no-pager
timedatectl timesync-status

Falls NTP noch nicht zur Verfügung steht und die Uhr stark falsch geht, kann die Uhrzeit vorübergehend manuell auf einen vertrauenswürdigen aktuellen UTC-Wert gesetzt werden.

Beispiel mit dem aktuellen UTC-Zeitwert des Linux-Clients:

date -u -s "JAHR-MONAT-TAG STUNDE:MINUTE:SEKUNDE"

Die Platzhalter müssen durch eine tatsächlich aktuelle UTC-Zeit ersetzt werden.

Nach Korrektur der Uhrzeit kann APT erneut verwendet werden:

apt update

Falls der TLS-Fehler weiterhin besteht, anschließend CA-Zertifikate, Paketquellen und mögliche TLS-Interception prüfen.

Die HTTPS-Zertifikatsprüfung darf nicht deaktiviert werden.

20. Fehlerbehebung: Locale

Bei folgender Meldung fehlt die gewünschte Locale oder die SSH-Umgebung verwendet nicht unterstützte Locale-Werte:

setlocale: LC_CTYPE:
cannot change locale (de_DE.UTF-8)

Verfügbare Locales überprüfen:

locale -a

Locale-Konfiguration öffnen:

nano /etc/locale.gen

Folgende Zeile aktivieren:

de_DE.UTF-8 UTF-8

Locale neu erzeugen:

locale-gen

Standardeinstellung aktualisieren:

update-locale LANG=de_DE.UTF-8

Anschließend eine neue SSH-Sitzung öffnen. Die setlocale-Warnungen sollten verschwinden.

21. Fehlerbehebung: Netzwerk

Falls das Netzwerk im Initramfs funktioniert, aber nach der LUKS-Entsperrung ausfällt, die reguläre Netzwerkkonfiguration prüfen.

cat /etc/network/interfaces
ip -br address
ip route

/etc/network/interfaces muss die statische Konfiguration von eth0 enthalten.

Bei einem beschädigten oder unvollständigen System kann die verschlüsselte SSD auf einem anderen Linux-PC entschlüsselt und die Konfigurationsdatei repariert werden.

22. Proxmox VE vorbereiten

Erst wenn Debian, LUKS, SSH, Netzwerk und Zeitsynchronisierung zuverlässig funktionieren, wird die Virtualisierungsplattform eingerichtet.

Proxmox VE 9 stellt ARM64-Pakete bereit. Der Raspberry Pi 4 ist als Plattform jedoch nicht Teil der unterstützten Proxmox-Hardware.

Vor einer Installation müssen insbesondere die Paketabhängigkeiten und die Auswirkungen auf den Raspberry-Pi-Kernel geprüft werden.

Den funktionierenden Bootkernel, raspi-firmware, cryptsetup-initramfs und dropbear-initramfs nicht unkontrolliert ersetzen oder entfernen.

Vor dem Einrichten einer Proxmox-Bridge muss die bisherige Management-IP von eth0 auf vmbr0 umgestellt werden. Dabei darf die IP nicht doppelt vergeben werden.

Eine Aufnahme in einen bestehenden Proxmox-Cluster erfolgt erst nach vollständiger Funktionsprüfung.

23. Dokumentation

• Debian – Raspberry Pi 4
• systemd-timesyncd – Konfiguration
• Debian – locale-gen
• Cryptsetup – Remote Unlock
• Cloudflare NTP
• Proxmox VE Dokumentation